2020年1月にサポート終了したWindows 7を例に調査した結果、IPA 独立行政法人情報処理推進機構が運営する脆弱性検索データベースのJVN iPediaで、2020年2月以降に公表されたWindows 7の脆弱性は791件ありました。

同データベースでは、脆弱性の危険度を攻撃者の攻撃しやすさや脆弱性の深刻度など、さまざまな観点からスコア化し、危険な順に「緊急」「需要」「警告」「注意」の4段階に分けています。

そのうち最も低い「注意」は皆無。つまり全部が「警告」以上で、「緊急」「重要」以上のものが631件と8割に迫ります。
多くの危険な「穴」が空いたままだということです。

セキュリティ対策ソフトは「攻撃」や「ウイルス」を検知できますが、Windowsの「穴」をふさぐのは難しいですし、サポート終了したOSでの動作を保証していないことがほとんどです。